CVE-2025-8538
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie Portabilis i-Educar 2.10 odkryto podatność XSS w nieznanej funkcji pliku /usuarios/tipos/novo, manipulacja argumentem name/description umożliwia atak zdalny. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 2.12 rozwiązuje problem.
Ocena ryzyka
Atakujący może zdalnie wykonać skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści. Publiczny exploit zwiększa ryzyko ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu i-Educar do wersji 2.12 lub nowszej, która eliminuje podatność.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-10012Średnie
W Portabilis i-Educar do wersji 2.10 wykryto podatność polegającą na manipulacji argumentem ref_cod_aluno w pliku educar_historico_escolar_lst.php, co prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Portabilis i-Educar 2.10. The impacted element is an unknown function of the file /usuarios/tipos/novo. The manipulation of the argument name/description results in cross site scripting. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. Upgrading to version 2.12 is sufficient to resolve this issue. Upgrading the affected component is recommended. The vendor explains, that "[t]he reported attack vector was tested against the corrected version, and the previously described XSS behavior could no longer be reproduced".